[发明专利]基于DPDK的HTTP旁路阻断方法

说明书

本发明涉及基于DPDK的HTTP旁路阻断方法，还包括以下步骤：S1：在交换机部署DPDK系统运行环境；S2：建立过滤规则库；S3：在交换机上配置阻断口；S4：调用DPDK系统的api接口读取网口的数据报文；S5：对S4步骤中获取的数据报文截取字段，并根据截取的字段计算哈希值，根据哈希值索引，查找过滤规则库并进行字段值对比，若对比相同，则阻断口发送阻断报文，若对比不同，则丢弃该数据报文，继续读取下一数据报文，本发明能够解决现有技术中采用DPI包处理技术耗时过长的问题，在服务端作出应答前回复阻断报文，阻断成功率高达99.99％。

技术领域

本发明涉及通信网络技术领域，特别是涉及基于DPDK的HTTP旁路阻断方法。

背景技术

现有大部分是采用串联部署硬件的方式，在网络主要链路上，通过直接对经过的流量审计，分析请求的DNS或匹配acl策略，对命中的请求包直接丢弃，从而起到阻断的作用。现有技术中也存在采用旁路硬件进行阻断，通过识别镜像过来的数据TCP的三次握手的第一次请求包，当命中阻断规则后，对服务端和客户端发送伪造的Reset包对该链接进行断开，目前采用旁路硬件进行部署的方案，旁路硬件设备需要对镜像过来的数据包进行DPI(深度包检测)，提取数据包请求的五元组，通过提取到的目的IP去伪造Reset包，但采用这种方式DPI耗时太长，向服务端和客户端回伪造Reset包时，往往客户端早已经收到服务端的应答并建立连接了，导致阻断的失败率高，尤其现有DPI技术包处理性能有限，在面对IDC机房内的大流量数据处理的时候，容易导致失败。

发明内容

为解决上述问题，本发明提供一种响应更为迅速、阻断成功率高的基于DPDK的HTTP旁路阻断方法。

为解决上述目的，本发明采用的如下技术方案。

基于DPDK的HTTP旁路阻断方法，还包括以下步骤：

S1：在交换机部署DPDK系统运行环境；

S2：建立过滤规则库；

S3：在交换机上配置阻断口；

S4：调用DPDK系统的api接口读取网口的数据报文；

S5：对S4步骤中获取的数据报文截取字段，并根据截取的字段计算哈希值，根据哈希值索引，查找过滤规则库并进行字段值对比，若对比相同，则阻断口发送阻断报文，若对比不同，则丢弃该数据报文，继续读取下一数据报文，进入下一循环。

所述S2步骤的建立过滤规则库进一步包括：

S21：读取一条过滤配置数据；

S22：根据过滤配置数据计算对应域名值的哈希值和对应URL值的哈希值；

S23：将S22步骤中的域名值/URL值以及哈希值一一对应存储入哈希表。

所述S5步骤中进一步包括：

S51：对S4步骤中获取的数据报文进行检测，过滤无效报文；

S52：对S51步骤处理后的数据报文的HTTP HEADER进行解析，截取HEADER域名字段，并根据该HEADER域名字段计算哈希值，根据哈希值索引，查找过滤规则库，对比域名值，如果相同，则阻断口发送阻断报文，如果不同，则进入S53步骤；

S53：截取S52步骤中数据报文的HEADER URL字段，根据该HEADER URL字段计算哈希值，根据哈希值索引，查找过滤规则库，对比URL值，如果相同，则阻断口发送阻断报文，如果不同，则丢弃该数据报文，继续读取下一数据报文，进入下一循环。

所述S1步骤进一步包括：

S11：构建组网网络、镜像配置和网口使能配置；